Umeå Universitet straffas för undermålig hantering av känslig data

Umeå Universitet har inte brytt sig om att skydda känsliga data från polisrapporter om våldtäktsoffer, menar Integritetsskyddsmyndigheten. Nu tvingas de böta 550 00 kronor.

Det har framgått att Umeå Universitet inte skyddat känsliga data tillräckligt noga, menar Integritetsskyddsmyndigheten. De menar att Universitetet brutit mot Dataskyddsförordningen genom att ha speciella kategorier av personliga data som man inte skyddat tillräckligt noga och kräver nu universitetet på böter om 550 000 kronor.

Det handlar om en forskningsgrupp som bett om polisrapporter angående våldtäkter mot män och därefter skannat in och lagrat dessa digitalt. Bland annat innehöll rapporterna misstanke om brott, namn, personnummer, kontaktinformation och information om sexliv och hälsa.

Efter en utredning av Integritetsmyndigheten kommer det fram att forskningsgruppen lagrat över 100 skannade utredningsrapporter i en amerikansk molnservice. Detta trots att universitetet informerat via intranätet att sådana specialkategorier inte får lagras i just den molnservicen.

– Molnservicen och hur universitetet använder det ger inte tillräckligt med skydd för den här typen av personliga data, säger Linda Hamidi som leder utredningen.

Forskningsgruppen hade också skickat ett mejl till polisen där de bad om mer information och skickat med en av de skannade utredningarna som referens. Polisen meddelade att det var olämpligt att göra så men forskningsgruppen gjorde det flertalet gånger efteråt.

Integritetsmyndigheten kritiserar också universitetet för att inte anmäla det som hänt som personuppgiftsincident. Organisationer måste anmäla sådana händelser enligt lag sedan 25 maj 2018.

– Den personuppgiftsansvarige är skyldig att anmäla incidenter till oss och då även redovisa vad man har gjort för att minimera effekterna av incidenten och för att liknande incidenter inte ska inträffa igen, säger Linda Hamidi.